DSB Austria: Schrems y Transferencias de Datos
La Datenschutzbehörde (DSB) de Austria es la autoridad reguladora de referencia para NOYB. NOYB significa None of Your Business. Max Schrems fundó la organización. Ha presentado más de 1.000 reclamaciones del RGPD desde 2018. La DSB tramitó 422 de esos casos entre 2022 y 2024.
Ese historial importa. La DSB está en el centro de dos batallas legales que ya reformaron el derecho de transferencias de la UE.
NOYB y la DSB: Un Patrón
Schrems I (2015): Schrems presentó una reclamación sobre los flujos UE-EE. UU. de Facebook. El TJUE anuló el Safe Harbor. Más de 4.000 empresas usaban ese marco.
Schrems II (2020): Una segunda demanda afectó al Privacy Shield. Más de 5.000 empresas dependían de él. Su anulación forzó nuevas negociaciones. El resultado fue el Marco de Privacidad de Datos UE-EE. UU. (DPF). El DPF entró en vigor en 2023.
Schrems III anticipado (2025–2026): NOYB ha impugnado la decisión de adecuación del DPF. Su argumento: la Sección 702 de FISA sigue siendo incompatible con el RGPD. Se espera una remisión al TJUE.
El 78 % de los casos de la DSB involucran transferencias transfronterizas o herramientas de terceros. Ese enfoque distingue a las autoridades austriacas del resto de reguladores de la UE.
La Resolución DSB sobre Google Analytics
La decisión de la DSB de enero de 2022 sobre Google Analytics fijó el modelo para los casos de transferencia.
Tres hallazgos clave surgieron de ella:
- Las direcciones IP son datos personales. Incluso las IPs truncadas pueden permitir la reidentificación en los sistemas de Google. Los registros de sesión empeoran el problema.
- El acceso de un proveedor de EE. UU. cuenta como transferencia. Cuando ingenieros estadounidenses pueden acceder a registros de usuarios de la UE, ese acceso es una transferencia bajo el RGPD. Esto incluye soporte, mantenimiento y órdenes legales.
- Las SCC sin TIA no son suficientes. Las Cláusulas Contractuales Tipo necesitan una Evaluación de Impacto de la Transferencia. La TIA debe demostrar que las leyes de espionaje de EE. UU. no anulan las protecciones de las SCC.
La DSB declaró responsable al operador austriaco del sitio web, no a Google. El operador era el responsable del tratamiento. Esto aplica a cada empresa de la UE que integra scripts de terceros. Consulte nuestra guía de cumplimiento del RGPD para las obligaciones del responsable.
Medidas Técnicas Adicionales
Tras Schrems II, el CEPD publicó orientaciones sobre medidas técnicas adicionales. Estas aplican cuando las SCC solas son insuficientes. La DSB aplica estas orientaciones.
Tres enfoques superan el escrutinio de la DSB:
Cifrado con claves en la UE. Cifrar los registros antes de que salgan de la UE. Mantener las claves de descifrado en manos de la UE. Si las autoridades de EE. UU. obligan al proveedor a entregar archivos, obtienen texto cifrado ilegible.
Seudonimización antes de la transferencia. Enviar solo tokens seudónimos al extranjero. Mantener la clave de reidentificación en la UE. Los archivos transferidos no contienen información personal directa.
Procesamiento local. Ejecutar todo el procesamiento en servidores alojados en la UE. Transferir solo estadísticas agregadas y verdaderamente anónimas. Ningún registro personal cruza fronteras.
La DSB lo ha confirmado. Los grupos que usan proveedores SaaS de EE. UU. para datos personales de la UE deben aplicar al menos uno de estos enfoques. O deben demostrar que el contenido transferido es realmente anónimo.
El Riesgo de Schrems III
Las empresas que dependen únicamente del DPF enfrentan un riesgo claro. Si el recurso de NOYB ante el TJUE prospera, esas firmas deben encontrar nuevos mecanismos de transferencia rápidamente. Eso es exactamente lo que ocurrió en 2015 y 2020.
Los grupos que usan medidas técnicas adicionales están protegidos. Si el contenido es realmente anónimo, no se produce ninguna transferencia en virtud del RGPD. Una invalidación del DPF no cambia nada para ellos.
Para operaciones en Austria: las herramientas de análisis (Google Analytics, Mixpanel, Amplitude) crean exposición ante la DSB. También los CRM con empresas matrices en EE. UU. (Salesforce, HubSpot). Las plataformas en la nube donde el personal de EE. UU. tiene acceso de administrador conllevan el mismo riesgo.
La solución es la misma en cada caso. Asegurarse de que los datos personales sean realmente anónimos antes de llegar al proveedor. O cifrarlos con claves que solo el responsable de la UE posea. Nuestro resumen de seguridad y cumplimiento explica cómo el diseño de conocimiento cero elimina el problema de transferencia en su origen.
Fuentes
- DSB: Autoridad Austriaca de Protección de Datos — VERIFIED-EXTERNAL
- NOYB: Litigios Estratégicos — VERIFIED-EXTERNAL
- TJUE: Sentencia Schrems II C-311/18 (2020) — VERIFIED-EXTERNAL
- CEPD: Recomendaciones 01/2020 sobre medidas de transferencia — VERIFIED-EXTERNAL